Politique de confidentialité
Cette politique décrit les traitements de données à caractère personnel réellement mis en œuvre par la plateforme Visitech, conformément aux articles 12 à 14 du Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.
En vigueur depuis le 16 août 2026 Version 1.0
1. Responsable du traitement
Le responsable du traitement est À COMPLÉTER — DÉNOMINATION SOCIALE, dont le siège social est situé À COMPLÉTER — ADRESSE DU SIÈGE SOCIAL (voir les mentions légales).
Contact dédié aux questions relatives aux données personnelles : À COMPLÉTER — EMAIL RGPD.
Aucun délégué à la protection des données (DPO) n’est désigné à ce jour, la désignation n’étant pas obligatoire au sens de l’article 37 du RGPD dans la configuration actuelle du service.
Rôle vis-à-vis des données transmises par les partenaires
Visitech agit en qualité de responsable de traitement pour l’exploitation de la plateforme : comptes utilisateurs, planification et exécution des visites techniques, relation avec les techniciens, facturation, sécurité. Lorsqu’un partenaire dépose un dossier, il garantit avoir informé la personne concernée et disposer d’un fondement licite pour transmettre ses coordonnées. La qualification exacte (responsabilité conjointe ou sous-traitance) et l’accord contractuel correspondant sont formalisés dans le contrat conclu avec chaque partenaire.
2. Personnes concernées
- Utilisateurs de la plateforme : administrateurs, gestionnaires et confirmateurs de l’éditeur.
- Partenaires, installateurs, apporteurs d’affaires et délégataires : personnes physiques représentant une société partenaire et disposant d’un accès.
- Techniciens : intervenants réalisant les visites, avec ou sans compte sur la plateforme.
- Clients bénéficiaires des visites : particuliers ou professionnels chez qui la visite technique est réalisée.
3. Données traitées
Seules les données nécessaires aux finalités décrites ci-dessous sont collectées (principe de minimisation, art. 5.1.c du RGPD). Aucune donnée sensible au sens de l’article 9 du RGPD (santé, opinions, orientation, biométrie) n’est demandée ni exploitée, et aucun numéro de sécurité sociale n’est collecté.
| Catégorie | Données |
|---|---|
| Compte utilisateur | Nom, adresse email, mot de passe (haché, jamais lisible), rôle, photo de profil facultative, dates de validation du compte et de confirmation d’email. |
| Partenaire / installateur | Raison sociale, nom du contact, téléphone, adresse de facturation, SIRET, informations de contact complémentaires. |
| Technicien | Nom, email, téléphone, adresse postale et coordonnées géographiques (calcul des distances d’intervention), spécialité, SIRET, origine du référencement, avis reçus (note et commentaire). |
| Client bénéficiaire | Nom, adresse postale du logement à visiter et coordonnées géographiques, téléphone, email lorsqu’il est fourni, type de visite, informations de contact complémentaires, disponibilités communiquées. |
| Dossier de visite | Date et créneau, statut d’avancement, description et commentaires métier, technicien affecté, historique horodaté des actions, avis après visite. |
| Documents | Pièces jointes déposées au dossier (attestations, photos, justificatifs) et leurs métadonnées. Le contenu de ces pièces relève de la responsabilité de l’émetteur. |
| Communications | Journal des SMS et emails envoyés dans le cadre du flux de visite : destinataire, contenu du message, date, statut de remise et erreurs éventuelles. |
| Facturation | Identité et adresse de l’émetteur et du destinataire, SIRET, lignes de facture, montants, échéances, statut de paiement. |
| Connexion et sécurité | Adresse IP, agent utilisateur du navigateur, dates de session, journal des actions sensibles (création, modification, suppression, connexion), acceptations des CGU/CGV. |
| Notifications | Notifications applicatives et, si vous l’avez activé, l’identifiant technique d’abonnement aux notifications push de votre navigateur. |
4. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Création et gestion des comptes, authentification, gestion des rôles | Exécution du contrat (art. 6.1.b) |
| Planification, affectation et suivi des visites techniques ; calcul des distances et itinéraires ; envoi des SMS et emails opérationnels | Exécution du contrat avec le professionnel (art. 6.1.b) et intérêt légitime à réaliser la prestation commandée pour le compte du bénéficiaire (art. 6.1.f) |
| Constitution et conservation du dossier de preuve de la visite | Obligation légale et intérêt légitime à pouvoir justifier de l’exécution des opérations (art. 6.1.c et 6.1.f) |
| Facturation, comptabilité et recouvrement | Obligation légale (art. 6.1.c) |
| Sécurité de la plateforme : journalisation, limitation du nombre de tentatives, lutte contre les inscriptions automatisées | Intérêt légitime à protéger le service et ses utilisateurs (art. 6.1.f) |
| Recueil d’un avis après la visite | Intérêt légitime à mesurer et améliorer la qualité de service (art. 6.1.f) |
| Notifications push dans le navigateur | Consentement, révocable à tout moment (art. 6.1.a) |
| Preuve de l’acceptation des CGU et CGV | Exécution du contrat et intérêt légitime probatoire (art. 6.1.b et 6.1.f) |
Lorsqu’un traitement repose sur l’intérêt légitime, vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière (voir « Vos droits »).
5. Origine des données
Les données proviennent :
- de vous, lorsque vous créez un compte, complétez votre profil ou remplissez un formulaire ;
- d’un partenaire, installateur ou apporteur d’affaires, lorsqu’il dépose un dossier concernant un client bénéficiaire ;
- de la plateforme elle-même, pour les données techniques générées par votre utilisation (journaux de connexion, historique des actions) et pour le géocodage des adresses saisies.
6. Destinataires et sous-traitants
Les données des dossiers de visite ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles, dans la limite stricte de ce que leur rôle impose (voir « Sécurité ») :
- aux équipes internes habilitées de l’éditeur ;
- au partenaire à l’origine du dossier, pour ses seuls dossiers, et au technicien affecté, pour la seule visite qui lui est confiée ;
- le cas échéant, aux délégataires, financeurs et administrations, dans le cadre du dispositif des certificats d’économies d’énergie ;
- aux experts-comptables, commissaires aux comptes et conseils, ainsi qu’aux autorités judiciaires sur réquisition.
Demandes issues du simulateur d’aides
Le simulateur public d’aides à la rénovation énergétique constitue un traitement distinct. Lorsque vous y laissez vos coordonnées, celles-ci sont collectées pour être étudiées par Visitech et transmises à des installateurs et professionnels partenaires qualifiés, susceptibles de vous recontacter au sujet de votre projet. Cette transmission peut donner lieu à une contrepartie financière entre Visitech et ces partenaires.
Cette transmission constitue la finalité même du formulaire : elle vous est indiquée avant la saisie, et repose sur votre consentement, recueilli par une case à cocher non pré-remplie. Les données concernées sont votre identité, votre code postal, votre numéro de téléphone et les réponses de votre simulation.
Vous pouvez retirer votre consentement à tout moment, sans justification, en écrivant à contact@visitech.fr. Le retrait met fin aux transmissions futures et vaut demande de suppression, sans affecter la licéité des traitements déjà effectués.
Les sous-traitants techniques effectivement utilisés sont les suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud (OVH SAS) | Hébergement de l’application et de la base de données, envoi des emails, envoi des SMS | France (UE) |
| Google Maps Platform (Google Ireland Ltd / Google LLC) | Autocomplétion et géocodage des adresses, affichage cartographique, calcul des temps de trajet entre technicien et lieu de visite | Union européenne et États-Unis |
| Google Fonts | Distribution des polices de caractères de l’interface (transmet votre adresse IP) | États-Unis |
| Intuition Machines, Inc. (hCaptcha) | Protection des formulaires publics contre les soumissions automatisées (inscription, activation de compte, mot de passe oublié) | États-Unis |
| Service de notification de votre navigateur | Acheminement des notifications push si vous les avez activées (Google, Mozilla, Apple selon votre navigateur) | Selon l’éditeur du navigateur |
7. Transferts hors Union européenne
L’hébergement des données et la base de données restent en France. Certains sous-traitants listés ci-dessus (Google, hCaptcha) sont susceptibles de traiter des données techniques aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification de ces prestataires au titre du Data Privacy Framework UE–États-Unis.
8. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte utilisateur | Durée de la relation contractuelle, puis 3 ans à compter du dernier contact |
| Fiches partenaire et technicien | Durée de la relation, puis 3 ans à compter de la dernière intervention ou du dernier échange |
| Dossiers clients et visites | 5 ans à compter de la clôture du dossier (prescription de droit commun, art. 2224 du Code civil) |
| Documents justificatifs rattachés à un dossier | Durée du dossier, puis conservation selon l’obligation applicable à la pièce concernée |
| Factures et pièces comptables | 10 ans (art. L.123-22 du Code de commerce) |
| Journaux SMS et emails | 12 mois |
| Journaux de connexion et d’audit | 12 mois |
| Sessions actives | 12 heures par défaut (déconnexion automatique), enregistrement purgé sous 12 mois |
| Liens à usage unique (activation, réinitialisation, disponibilités, avis) | De 1 heure à 60 jours selon le type de lien, puis expiration automatique |
| Preuves d’acceptation des CGU/CGV | 5 ans après la fin de la relation contractuelle |
| Demandes d’exercice des droits | 3 ans après clôture de la demande (preuve du traitement de la demande) |
À l’issue de ces durées, les données sont supprimées ou anonymisées. Les données faisant l’objet d’une obligation légale de conservation (comptabilité, preuve d’exécution) sont archivées avec un accès restreint jusqu’au terme de l’obligation.
9. Sécurité
Les mesures suivantes sont effectivement mises en œuvre :
- chiffrement des échanges par HTTPS/TLS et en-têtes de sécurité stricts (HSTS, anti-clickjacking) ;
- mots de passe hachés avec Argon2id, jamais stockés ni transmis en clair ;
- sessions serveur opaques : le cookie ne contient qu’un jeton aléatoire, seul son empreinte est stockée, et la déconnexion révoque réellement la session ;
- contrôle d’accès par rôle appliqué côté serveur sur chaque appel : un partenaire n’accède qu’à ses dossiers, un technicien qu’aux visites qui lui sont confiées ;
- liens publics à jeton aléatoire, à durée de vie limitée, dont seule l’empreinte est stockée ;
- journalisation horodatée des actions sensibles et limitation du nombre de tentatives ;
- hébergement en France, sauvegardes et cloisonnement des environnements.
10. Décision automatisée
Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé au sens de l’article 22 du RGPD. La plateforme propose des techniciens en fonction de leur distance et de leur disponibilité, mais l’affectation reste validée par une personne ou par l’acceptation du technicien lui-même.
11. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
- Si vous avez un compte : la page Mes données personnelles permet de télécharger immédiatement une copie de vos données et de déposer une demande suivie.
- Sinon : écrivez à À COMPLÉTER — EMAIL RGPD en indiquant l’objet de votre demande. Une pièce d’identité pourra être demandée en cas de doute raisonnable sur votre identité, et sera détruite après vérification.
Une réponse vous est apportée dans un délai d’un mois à compter de la réception de la demande, prolongeable de deux mois pour les demandes complexes (art. 12.3 du RGPD). L’effacement peut être refusé, totalement ou partiellement, lorsque les données doivent être conservées au titre d’une obligation légale — notamment comptable — ou pour la constatation et la défense de droits en justice ; le motif du refus vous est alors indiqué.
Le retrait du consentement aux notifications push s’effectue directement dans les réglages de votre navigateur ou depuis votre profil, sans affecter les autres traitements.
12. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés :
CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — téléphone 01 53 73 22 22 — www.cnil.fr/fr/plaintes.
13. Évolution de la politique
Cette politique peut être mise à jour pour refléter une évolution du service ou de la réglementation. La date d’entrée en vigueur figure en tête de page ; en cas de modification substantielle, les utilisateurs disposant d’un compte en sont informés par email ou lors de leur connexion.